# Security from Zero — 第4回ワークブック

目標：1件のログを読み、重複を照合し、UTCのタイムラインと次の確認事項を説明する。
本文：https://secopsnomad.si/ja/blog/security-from-zero-04-security-logs/
教材：https://secopsnomad.si/downloads/security-from-zero-topic-04-auth.jsonl

架空の記録を正規化した教材です。Windowsの実際のエクスポートや実事件ではありません。中心の演習にSIEMやWindowsへのアクセスは不要です。

## 範囲と出典

分析した日：
調べたい問い：
元のファイル名と保存場所：
プロバイダー / チャネル：
コンピューター：
最も早い / 遅いイベント時刻とタイムゾーン：
このファイルにない根拠は何か：

## 1件を読む

コンピューター / チャネル / レコードID：
イベントIDと文書上の意味：
対象アカウント（Subject側ではない）：
ログオンタイプと意味：
送信元IP（なければ値なし）：
Status / SubStatus（あれば）：
イベントIDとレコードIDの違い：
JSONのバックスラッシュ2つは何を表すか：

## 照合して並べる

入力の行数：
完全一致する重複のコンピューター / チャネル / レコードID：
レコード全体の一致をどう確認したか：
別のPCの同じレコード番号を残す理由：
異なるイベント数：
失敗数 / 成功数：

元のファイルは変更せず、別の作業用タイムラインをUTCで作ります。

| 時刻（UTC、日付も記載） | コンピューター / レコードID | イベントID | 対象アカウント | ログオンタイプ | 送信元IP | 観測したこと |
| --- | --- | --- | --- | --- | --- | --- |
| | | | | | | |
| | | | | | | |
| | | | | | | |
| | | | | | | |
| | | | | | | |
| | | | | | | |
| | | | | | | |

## 流れを絞り込む

条件：LAB-PC1 / LAB\mira / 192.0.2.44 / ログオンタイプ3。
時刻順のレコード参照：
最初 / 最後の時刻と経過秒数：
失敗数 / 成功数：
後のタイプ2を分ける理由：
LAB-PC2の2アカウントを区別する理由：

考えられる説明を2つ：
1.
2.

説明を区別するために必要な根拠：
ログオン成功だけで、許可された操作か決まらない理由：
IPアドレスだけでは分からないこと：

## 任意のWindows観察

実行済み / 未実行：
Windowsのバージョン / シェル：
アクセス結果（記録あり / 該当なし / アクセス拒否 / その他）：
開始・終了時刻と表示タイムゾーン：
イベントビューアーの全般とXMLで比べたフィールド：
PowerShellの件数上限と並び順：
上限付きの結果が総件数とは限らない理由：

実際のホスト名、アカウント名、エクスポートしたログは公開しません。演習のために監査設定を変えたり、失敗を発生させたりする必要はありません。

## 1枚のトリアージメモ

問いと範囲：
出典と根拠の参照先：
観測した流れ：
解釈と他の説明：
不明点、欠けている項目、未実行の手順：
次の確認、最初の対象時間、その確認で分かること：
現時点での扱いと理由：

## 面接の練習

説明する：4624と4625、レコードIDとイベントID、UTCとローカル表示、タイプ3と10、完全一致の重複と別イベント、イベントとアラートの違い。

## 公開前に

- [ ] 架空の教材を使った練習と明記した。
- [ ] 元のファイルを残し、重複した行を説明した。
- [ ] 表、件数、絞り込んだ流れが一致する。
- [ ] 観測、仮説、不明点を分けた。
- [ ] 侵害の確定や共通の重大度を主張していない。
- [ ] 各追加確認で何が分かるか説明できる。
- [ ] 応募用の説明は、実際に行った作業だけにした。